İŞ SÜREKLİLİĞİ PLANI

İŞ SÜREKLİLİĞİ PLANI YAYIMLAYAN İç Kontrol ve Risk Yönetimi Birimi YAYIMLANMA TARİHİ 21/04/2017 ÖZET İş Sürekliliği Planı, bilgi sistemleri ve fiziki güvenlik kaynaklı acil ve beklenmedik durumlar nedeniyle, Şirket iş sürekliliğinin kesintiye uğraması durumunda ortaya çıkacak risklere karşı organize bir şekilde hazırlıklı olunabilmesine yönelik yönetsel süreçler ile stratejileri içermektedir. YÜRÜRLÜĞE GİRİŞ TARİHİ 21/04/2017

İÇİNDEKİLER 1. AMAÇ VE KAPSAM... 3 2. TANIMLAR... 3 3. İŞ SÜREKLİLİĞİ VE ACİL DURUM YÖNETİMİNİN KAPSAMI... 5 3.1. Bilgi Sistemleri Sürekliliği Yönetiminin Kapsamı... 5 3.2. Acil ve Beklenmedik Durum Yönetiminin Kapsamı... 5 4. İŞ SÜREKLİLİĞİ VE ACİL DURUM YÖNETİM YAPISI... 6 4.1. İş Sürekliliği ve Acil Durum Komitesi... 7 4.2. Müdahale Ekipleri... 9 4.3. İş Sürekliliği ve Acil Durum Komite Sekretaryası... 9 4.4. Kriz Merkezi... 10 2.1. İş Sürekliliği Planının Eşgüdümü ve Uygulanması... 11 2.2. Destek Hizmetleri Kapsamında İş Sürekliliği... 11 3. İŞ SÜREKLİLİĞİ PLANININ TEMEL UNSURLARI... 11 3.1. Haberleşme Stratejisi... 12 3.2. Kurtarma Stratejisi... 14 3.3. Dağıtım Stratejisi... 14 3.4. Planın Test Edilmesi... 14 3.5. Planın Güncellenmesi... 15 3.6. İş Sürekliliği ve Acil Durum Eğitimleri... 15 3.7. Genel Güvenlik ve Lojistik... 15 3.8. Tedarikçi Firmalar Kapsamında İş Sürekliliği... 15 3.9. Plan Dâhilinde Kullanılacak Form ve Belgeler... 16 3.9.1. Kesinti ve Hasar Tespit Raporları... 16 3.9.2. Acil Durum İşlem Talep Formu... 16 4. BİLGİ SİSTEMLERİ SÜREKLİLİĞİ PLANI... 16 4.1. Kritik Faaliyetlerin Belirlenmesi ve İş Etki Analizi... 16 4.2. Bilgi Sistemleri Sürekliliği Senaryoları... 17 5. ACİL ve BEKLENMEDİK DURUM PLANI... 17 5.1. Kritik Acil Durumların Belirlenmesi... 17 5.2. Acil ve Beklenmedik Durum Senaryoları... 18 5.3. Acil Durum Karşı Tarafa Etkileri ve Faaliyetlerin Sonlandırılması... 19 5.4. Resmi ve Düzenleyici Kurumlara yapılacak bilgilendirme... 20 EKLER... 20 Sayfa No: 2

1. AMAÇ VE KAPSAM İş Sürekliliği Planı, Şirket in herhangi bir kesinti anında faaliyetlerinin sürdürülmesi veya zamanında kurtarılmasını sağlamak üzere operasyonel, finansal, yasal ve itibari olumsuz etkileri en aza indirmek, sorunları yönetebilmek, herhangi bir beklenmedik ve acil durumda öncelikli gerçekleştirilecek eylemleri, alınacak önlemleri belirleyerek, Şirket in varlık ve itibarını korumak amaçlarıyla düzenlenmiştir. İş Sürekliliği Planı, bilgi sistemleri ve fiziki güvenlik kaynaklı acil ve beklenmedik durumlar nedeniyle, Şirket iş sürekliliğinin kesintiye uğraması durumunda ortaya çıkacak risklere karşı organize bir şekilde hazırlıklı olunabilmesine yönelik yönetsel süreçler ile stratejileri kapsamaktadır. İş Sürekliliği Planı nda yer almayan hususlarda, ilgili yasal düzenlemeler ve Şirketimiz mevzuatı hükümlerine göre hareket edilir. 2. TANIMLAR Şirket Yönetim Kurulu(Üst Yönetim) İç Denetimden Sorumlu Yönetim Kurulu üyesi Genel Müdürlük Birim İş Sürekliliği Yönetimi İş Sürekliliği Planı : Ziraat Yatırım Menkul Değerler A.Ş. yi, : Şirket Yönetim Kurulu nu, : Nitelikleri ile yetki ve sorumlulukları Sermaye Piyasası Kurulu (SPK) düzenlemelerine uygun olarak Yönetim Kurulu Üyeleri arasından seçilen Üye yi, : Şirket Genel Müdürlüğünü, : Şirket organizasyon yapısında yer alan mevcut veya ileride kurulabilecek tüm birimleri, : Felaket, kriz veya kesinti durumunda etkin önlem alınabilmesi; itibarın, marka değerinin, değer katan faaliyetlerin ve paydaşların çıkarlarının korunabilmesi amaçlarıyla belirlenen operasyonların sürekliliğinin temin edilmesi veya hedeflenen zaman diliminde kurtarılabilmesinin sağlanması ve kriz öncesi duruma dönülmesine yönelik, potansiyel risklerin belirlenmesini de içeren politika, standart ve prosedürleri içeren bütünsel yönetim sürecini, : İş sürekliliği yönetiminin bir parçası olan ve bir kesinti durumunda Şirket in öncelikleriyle uyumlu olarak faaliyetlerin sürdürülmesine ve mevzuata uyum sağlanmasına yönelik politika, standart ve prosedürlerden oluşan yazılı planlar bütününü, Kesinti : Şirket in faaliyetlerinde veya bir sistemin fonksiyonlarında sürekliliğin, planlı geçişler haricinde mücbir sebeplerle sekteye uğramasını, Sayfa No: 3

Felaket Acil Durum İş Sürekliliği Planı İş Etki Analizi Bilgi Sistemleri Süreklilik Planı Acil ve Beklenmedik Durum Planı İSAD Komite : Faaliyet veya sistemlerde uzun süreli kesintiye sebep olabilecek düzeyde insan, doğa veya diğer faktörlerden kaynaklanan olayı, : Önceden öngörülse bile gerçekleşme yeri ve zamanı belli olmayan, gerçekleşmesi halinde kayıplara ve iş kesintisine yol açarak, plan ve prosedürlerin uygulamaya konulmasını gerektiren halleri, : İş süreçlerinin ve bir faaliyet kesintisinin iş süreçleri üzerinde oluşturabileceği etkilerin analiz sürecini, : Faaliyetlerin sürdürülmesini sağlayan bilgi sistemleri servislerinin, bir kesinti durumunda sürekliliğinin sağlanmasına yönelik hazırlanan ve iş sürekliliği planının bir parçası olan planı, : Faaliyetlerde ani ve planlanmamış bir kesintiye, iş kaybına veya krize neden olması muhtemel bir durumda risklerin ve sorunların yönetilebilmesi amacıyla alınacak tedbirlerin ve gerçekleştirilecek öncelikli eylemlerin belirlendiği, iş sürekliliği planının bir parçası olan planı, : İş Sürekliliği ve Acil Durumu, : İSAD Komitesini, Sekretarya : Koordinasyon, yönlendirme, bilgilendirme ve talimatlandırma işlemlerini yapmaya yönelik olarak faaliyet gösteren yapıyı, Senaryo : Olası bir bilgi sistemleri kesintisi veya acil durum olayını ve söz konusu kesintiye/olaya ilişkin kesinti/olay öncesinde, anında ve sonrasında izlenmesi gereken kurtarma stratejilerini içeren senaryoları, Kriz Merkezi : Sekretarya uhdesinde oluşturulan, acil durumla mücadele edebilmek amacıyla çalışmaların yönetildiği ve koordine edildiği fiziki ortamı, İfade eder. Sayfa No: 4

3. İŞ SÜREKLİLİĞİ VE ACİL DURUM YÖNETİMİNİN KAPSAMI 3.1. Bilgi Sistemleri Sürekliliği Yönetiminin Kapsamı Bilgi sistemleri sürekliliği yönetimi; Şirket tarafından gerçekleştirilen faaliyetlerin ve verilen hizmetlerin etkin, güvenilir ve kesintisiz bir şekilde yürütülmesine, yasal yükümlülüklerin yerine getirilmesine, muhasebe ve finansal raporlama sisteminden sağlanan bilgilerin bütünlüğünün, tutarlılığının, güvenilirliğinin, zamanında elde edilebilirliğinin ve gereken durumlarda gizliliğinin sağlanması amacıyla uygun bilgi sistemleri ortamının tesis edilmesine, bilgi sistemlerinin kullanılmasından kaynaklanacak risklerin kontrolünün ve izlenmesinin sağlanmasına, bu amaçla gerekli sistemsel ve yönetsel önlemlerin alınmasına ilişkin yönetim sürecini ifade eder. Önceden öngörülse bile gerçekleşme yeri ve zamanı belli olmayan, gerçekleşmesi halinde, Şirket faaliyetlerinde aksamalara ve/veya kesintilere yol açarak, ilgili prosedürlerin uygulamaya konulmasını gerektiren; bilgi teknolojilerine bağlı olarak yürütülen temel yatırım faaliyetlerinin kesintiye uğraması, iletişim ve telekomünikasyon imkânları ile bilgi işleme kapasitesi ve imkânlarının yitirilmesi, altyapı erişim olanağının ortadan kalkması, gibi haller Bilgi Sistemleri Sürekliliği Yönetiminin kapsamındadır. 3.2. Acil ve Beklenmedik Durum Yönetiminin Kapsamı Acil ve beklenmedik durum yönetimi; Şirket te yürütülen faaliyetlerde ani ve planlanmamış bir kesintiye, iş kaybına veya krize neden olması muhtemel durumların kontrolünün ve izlenmesinin sağlanmasına, bu amaçla gerekli sistemsel ve yönetsel önlemlerin alınmasına ilişkin yönetim sürecini ifade eder. Önceden öngörülse bile gerçekleşme yeri ve zamanı belli olmayan, gerçekleşmesi halinde, kayıplara ve Şirket faaliyetlerinde aksamalara ve/veya kesintilere yol açarak, ilgili prosedürlerin uygulamaya konulmasını gerektiren; doğal afetler (deprem, yangın, sel vb.) fiziki güvenlik kaynaklı operasyonel işlemlerin aksaması veya kesintiye uğraması, Şirket personeli ve müşterileri ile Şirket in varlıklarının yitirilmesi veya zarara uğraması, gibi haller Acil ve Beklenmedik Durum Yönetiminin kapsamındadır. Sayfa No: 5

4. İŞ SÜREKLİLİĞİ VE ACİL DURUM YÖNETİM YAPISI Felaket, kriz veya kesinti durumlarında etkin önlem alınabilmesine, operasyonel, finansal, yasal ve itibari olumsuz etkilerin en aza indirilmesine, hedeflenen zaman diliminde kritik olarak belirlenmiş olan operasyonların sürekliliğinin sağlanmasına ve kriz öncesi duruma dönülmesine yönelik olarak Şirket te bütünsel bir iş sürekliliği yönetim yapısı tesis edilir. İş Sürekliliği Planı nın hazırlanmasına ilişkin faaliyetlerin koordinasyonu, Operasyonel İşlemler ve BT Yönetimi Birimi tarafından yerine getirilir. İş Etki Analizi (Ek 1) çalışmaları, Operasyonel İşlemler ve BT Yönetimi Birimi tarafından yapılır. İş Sürekliliği Planı nda yer alan senaryolar (Ek 2 - Bilgi Sistemleri Sürekliliği Senaryoları, Ek 3 - Acil ve Beklenmedik Durum Senaryoları), ise ilgili Genel Müdürlük Birimleri tarafından oluşturulur/güncellenir. Plan, Genel Müdürün değerlendirilmesini takiben Yönetim Kurulunun onayına sunulur. İş sürekliliği yönetim yapısı, İSAD Komitesi, Genel Müdürlük Birimleri, Şube, İrtibat Bürolarında belirlenen Müdahale Ekipleri ve Sekretarya dan oluşmaktadır. Sekretarya görevi, Operasyonel İşlemler ve BT Yönetimi Birimi tarafından ifa edilir. Olası acil durumlarda kriz ile başa çıkabilmek amacıyla çalışmaların yönetildiği ve koordine edildiği bir Kriz Merkezi tesis edilir. Yönetim Yapısı İSAD Komitesi Genel Müdür Yardımcısı Sekretarya Operasyonel İşlemler ve BT Yönetimi Müdahale Ekipleri Genel Müdürlük Birimleri Şube İrtibat Büroları Acil durumda gerekli personel teminine ilişkin düzenlemeler ile personelin görev ve sorumlulukları belirlenir. Yönetim ve personelin iletişim düzeni ve yöntemi oluşturulur. Personelin üstlendikleri görevle ilgili bilgilendirilmeleri ve eğitilmeleri sağlanır. Sayfa No: 6

4.1. İş Sürekliliği ve Acil Durum Komitesi Komite, Şirketimiz olağan çalışmasını kesintiye uğratacak ve/veya hizmet sunmasını engelleyecek fiiller ve acil durumlar karşısında, Şirketimiz genelinde ya da bölgesel olarak proaktif/reaktif hareket tarzını belirlemek amacıyla oluşturulmuştur. Komite daimi üyeleri, Genel Müdür Yardımcısı başkanlığında, (Birden fazla GMY olması halinde Genel Müdür tarafından belirlenen GMY) aşağıda belirtilen Birim ve Servislerin Yönetici ve/veya yetkililerinden oluşmaktadır. Komite Başkanı-Genel Müdür Yardımcısı İş Sürekliliği ve Acil Durum Komitesinin başkanı olarak acil ve beklenmedik durumlarda kalınması halinde müdahale için gerekli kararları verir ve uygulanmasını sağlar. Üye Operasyonel İşlemler ve BT Yönetimi Yöneticisi: İş Sürekliliği Planının Uygulama sorumlusudur. Acil ve beklenmedik bir durumla karşılaşıldığında kendisine bağlı Birim ve biriimleri koordine eder. Genel Müdür Yardımcısı na bilgi akışını sağlar, Genel Müdür Yardımcısı nın olmadığı hallerde Komite Başkanının görevlerini yerine getirir. Üye Hazine Yönetimi Yöneticisi: Acil ve beklenmedik durumla karşılaşıldığında birimindeki personeli koordine eder, Uygulama Sorumlusu na gerekli bilgi akışını sağlar. Üye Satış Yönetimi Yöneticisi : Acil ve beklenmedik durumla karşılaşıldığında Satış Yönetimi Birimi ile Şube ve İrtibat Bürolarında çalışan personeli koordine eder, gerek Satış Yöntimi Birimi gerekse Şube ve İrtibat Bürolarına ilişkin acil ve beklenmedik durumlardan Uygulama Sorumlusu na gerekli bilgi akışını sağlar. Üye İnsan Kaynakları ve Destek Hizmetleri Yöneticisi: Acil ve beklenmedik durumla karşılaşıldığındabirim personelini koordine eder, bu durumlarda ihtiyaç duyulabilecek mal ve hizmetlerin tedarikinin sağlanmasını yürütür ve Uygulama Sorumlusu na gerekli bilgi akışını sağlar. Üye- Risk Yönetimi Yöneticisi/Yetkilisi Acil ve beklenmedik durumla karşılaşıldığında birimindeki personeli koordine eder, Uygulama Sorumlusu na gerekli bilgi akışını sağlar. Sayfa No: 7

Acil durumun gerekliliğine göre, daimi üye dışındaki Yöneticiler, Genel Müdür Yardımcısı tarafından toplantıya çağrılabilir. Plan dâhilinde, komite asil üyelerine ulaşılamaması durumunda, yetki ve karar verme yapısının sürdürülebilmesi ve Planın hangi koşullarda uygulamaya alınacağının belirlenmesi amacıyla, komite asil üyesine vekâlet eden personel komitede yer alır. Komitenin sekretarya faaliyetleri, Operasyonel İşlemler ve BT Yönetimi Birimi tarafından yürütülür. Komite Başkanı, Sekretaryadan gelen bilgi doğrultusunda Komiteyi toplantıya çağırır ve Üst Yönetimi bilgilendirir. Komite, Kriz Merkezi nde toplanır. Kriz Merkezi, ulusal ve uluslararası her türlü haber ajanslarına açık olacak şekilde telefon, faks, internet ve görüntülü haberleşme cihazları ile donatılır. Komitenin Kriz Merkezinde toplanması esas olmakla birlikte; acil durumun mahiyetine göre, alternatif iletişim kanalları aracılığıyla (telekonferans, video konferans, e-posta vb.) da, karar alınabilir. Komitenin Görev ve Sorumlulukları Gelen bilgi ve öneriler doğrultusunda, Kriz Merkezinin işler hale gelmesinden, acil durum kararı alınmasından ve etkin hareket tarzının/alınacak aksiyonun belirlenmesinden sorumludur. Şirket içinde/dışında ve Birimler arası gerekli iletişim ve koordinasyonun sağlanmasının, kararların/planın uygulanmasının takibinden sorumludur. İş Sürekliliği çerçevesinde, acil durum hareket inisiyatifini belirler ve acil durum hareket inisiyatifinin, belirlenen kriterler çerçevesinde olaya maruz kalan Birimler / Şube / İrtibat Büroları tarafından resen kullanılmasını sağlar. Acil durumun yaşandığı birimin yetkisini aşan işlemlerde (harcamalar, personelin iş düzeninin değiştirilmesi, personelin uzun süreli çalıştırılması, bazı servislerin kapanması vb.) lüzum gördüğü hizmet ve faaliyetlerde gerekli yetkilendirmeleri yapar. Acil/Beklenmedik durum vuku bulduğunda, personelin harekete geçirilmesini sağlamak üzere izinli personelin tespiti ve yeni görev yerlerine en hızlı şekilde yönlendirilmesinin sağlanmasına yönelik İzin Yönetim Sisteminin oluşmasını sağlar. Psikolojik Algı Yönetimi ile Acil/Beklenmedik durum vuku bulduğunda, hizmet noktalarımızın olumsuz imajının en hızlı şekilde giderilmesi (ilk etapta olumsuz izlerin ortadan kaldırılması/silinmesi), Şirketimizin kurumsal itibarının korunması ve personel üzerinde oluşan olumsuz psikolojik etkinin kısa sürede yok edilerek, uygun çalışma şartlarının oluşmasını sağlar. Acil durum sonrası, acil durumun Şirket, personel ve müşteriler üzerinde oluşturduğu olumsuz etkileri ve maddi zararın boyutlarıyla ilgili hazırlanan raporları inceler. Gerekli gördüğü durumlarda basın açıklaması yapar. Sayfa No: 8

4.2. Müdahale Ekipleri İş Sürekliliği Planının uygulanması, Sekretarya ile Komite tarafından verilen görevlerin yerine getirilmesi amacıyla, Genel Müdürlük, Şube ve İrtibat Büroları Müdahale Ekipleri oluşturulur. Müdahale Ekipleri, Genel Müdürlük Birimleri ve Şubelerde yöneticinin başkanlığında üç asil ve bir yedek üyeden oluşur. Çalışan sayısının dörtten az olması durumunda çalışan sayısı kadar üye belirlenecektir. İrtibat Bürolarında ise Müdahale Ekibi İrtibat Bürosu Yetkilisi ve Asistanından oluşur. Plan dâhilinde, Müdahale Ekibinde görevli personele ulaşılamaması durumunda, yetki ve karar verme yapısının sürdürülebilmesi için önceden belirlenen yedek üye Müdahale Ekibinde yer alır. Bununla birlikte, Genel Müdürlük Birimleri / Şube / İrtibat Büroları Yönetici/Yetkilinin gerek görmesi halinde, Müdahale Ekibinde görev alacak personel sayısı arttırılabilir. İş Sürekliliği Yönetim Yapısı kapsamında; her ne kadar Müdahale Ekipleri oluşturulmuşsa da, iş sürekliliğinin sağlanmasında ve planın uygulanmasında, Birimlerde görevli tüm personel gereğini yapmaktan sorumludur. Müdahale Ekiplerinde görev yapacak personel kritik personel arasından belirlenmiştir. İş etki analizi kapsamında belirlenen kritik faaliyetler için de kritik personel belirlenmiş ve Şirketimiz Ortak Klasöründe yayımlanmıştır. Müdahale Ekiplerinde görev alan personel ve personele ilişkin iletişim bilgileri Şirketimiz Ortak Klasöründe yer almaktadır. Müdahale Ekiplerinin Görev ve Sorumlulukları İş Sürekliliği Planı'nı uygulamaya koyar ve bu konuda gerekli organizasyonu yapar. Acil durumun ortaya çıkması halinde öncelikle Sekretarya ile iletişime geçer. Sekretaryayı acil durum konusunda bilgilendirir, öneride bulunur ve Komite/ Sekretarya tarafından verilecek talimatları/alınan kararları uygular. Acil duruma ilişkin Şirket dışı kurumlarla gerekli iletişimi ve koordinasyonu sağlar. Yerel kaynaklardan gelen bilgileri toplar ve Sekretarya ya iletir. Proaktif önlemler alarak Kurumsal imajımızı olumsuz etkileyecek faktörleri önlemeye/ortadan kaldırmaya yönelik çalışmalar yapar. 4.3. İş Sürekliliği ve Acil Durum Komite Sekretaryası İş Sürekliliği Planına ilişkin Sekretarya faaliyetleri Operasyonel İşemler ve BT Yönetimi Birimi tarafından yerine getirilir. Sekretarya, acil durumlarda, Komitenin işlerliğini sağlamaya ve gerekli koordinasyon, yönlendirme, bilgilendirme, talimatlandırma işlemlerini yapmaya yönelik faaliyet gösterir. Sayfa No: 9

Acil durumun ortaya çıkması halinde öncelikle Sekretarya ile iletişime geçilecektir. Sekretaryaya ilişkin iletişim bilgileri, Plan Ekinde (Ek 4 - Önemli Telefon Numaraları) ve Şirketimiz Ortak Klasöründe yer almakta olup, güncel kalması Sekretarya sorumluluğundadır. Sekretarya, acil durumlarda ve gerekli görüldüğü hallerde ilgili Genel Müdürlük Birimleri ile irtibata geçerek idari ve teknik personel gereksinimini ve çalışma düzenini sağlar. Sekretaryanın Görev ve Sorumlulukları Müdahale Ekiplerinden ve dış kaynaklardan gelen acil duruma ilişkin bilgileri değerlendirir ve ilgili birimler ile görüşmek suretiyle, durumun acil durum kapsamına girip girmediğini tespit eder. Acil duruma ilişkin Komite Başkanı na bilgi verir. Planın uygulanması ve eşgüdümünden sorumludur. Acil durum konusundaki uygulamaları takip eder, yönlendirir, senaryo dâhilinde olayın çözüme kavuşturulmasını sağlar, yetkisini aşan konuları Komite ye sunar. Birimler arası eşgüdümü ve bilgi akışını sağlar. Müdahale Ekipleriyle Komite ve ilgili Birimler arası koordinasyonu sağlayarak, olayın ivedilikle çözülmesine yönelik çalışmalarda bulunur. Komitenin uygun gördüğü hizmet ve faaliyetlerde Müdahale Ekiplerini yetkilendirir. Acil durumun Şirket, personel ve müşteriler üzerinde oluşturduğu olumsuz etkileri ve maddi zararın boyutlarıyla ilgili raporları hazırlayarak, Komite Başkanı na sunar. Durumun niteliğine göre Komiteye Kriz Merkezinin çalıştırılmasına yönelik önerilerde bulunur. Kriz Merkezinin mevcut irtibat ve haberleşme sistemi ile ilgili ihtiyaçlarının karşılanmasından ve diğer idari hizmetlerin yerine getirilmesinden sorumludur. Komite tarafından verilecek diğer görevleri yapar. Planın, ilgili birimlerle istişare edilerek revize edilmesine yönelik çalışmalarda bulunur. Müdahale Ekiplerinin oluşturulmasını, Ekiplerin, Ekipte yer alan personelin iletişim bilgilerinin ve önemli telefon numaralarının güncel kalmasını, Ortak Klasörde yayımlanmasını sağlar. 4.4. Kriz Merkezi Acil durumlarda faaliyet göstermek üzere, Komitenin toplandığı, kriz ile başa çıkabilmek amacıyla çalışmaların yönetildiği ve koordine edildiği, Sekretarya uhdesinde bir Kriz Merkezi oluşturulmuştur. Kriz Merkezi, Sekretarya nın önerisi ve Komite Başkanı nın uygun görüşü doğrultusunda çalıştırılır/kullanılır. Acil Durum halinde Kriz Merkezini, Sekretarya tarafından görevlendirilecek personel, 24 saat çalışır vaziyette bulundurur. Sayfa No: 10

Kriz Merkezinin tesis edilmesi ve çalışma prosedürlerinin hazırlanması, teknik ve lojistik desteği Sekretarya tarafından ilgili birimlerle koordinasyon sağlanmak suretiyle gerçekleştirilir. İletişim bilgileri, Plan ekinde (Ek 4 - Önemli Telefon Numaraları) ve Şirketimiz Ortak Klasöründe yer almakta olup, güncel kalması Sekretarya sorumluluğundadır. 2.1. İş Sürekliliği Planının Eşgüdümü ve Uygulanması Planın uygulanması ve eşgüdümünden Sekretarya sorumludur. Müdahale Ekipleri, acil durumu Sekretarya ya bildirmekle ve planın uygulanmasıyla yükümlüdür. Acil durumun mesai saatleri dışında olması durumunda, Birimde bulunan/acil durumdan ilk haberi olan personelin, ivedilikle Sekretarya ile Müdahale Ekibine durumu haber vermesi ve uygun olan acil durum senaryosunu uygulanmaya koyması gerekmektedir. Şube ve İrtibat Bürolarında meydana gelen acil durumlarda, Planın uygulanmasının eşgüdümünden, Şube/İrtibat Bürosu Müdahale Ekipleri sorumludur. 2.2. Destek Hizmetleri Kapsamında İş Sürekliliği Şirketimizde halen, güvenlik, temizlik, bilgi teknolojileri, hukuk, işyeri hekimi ve iş güvenliği konularında dış firmalardan destek hizmeti alınmaktadır. Destek hizmeti alınacak firmaların iş sürekliliği ve acil durum planlarının olması gerektiği hususu Risk Analiz Raporlarına eklenir. Hali hazırda destek hizmeti alınan firmaların iş sürekliliği ve acil durum planının güncel kalması sağlanır. Bilgi teknolojilerine ilişkin destek hizmeti alınan firma, Şirketimize sunduğu hizmetlerde kesintiye sebep olabilecek olaylara yönelik olarak kendi bünyesinde bir Acil Durum Planı oluşturmuş ve olası tüm senaryolar için eylem planlarını hazırlamıştır. Plan, Şirketimiz ile koordineli olarak yürütülecek şekilde tasarlanmıştır. Firma tarafından planlar değişen durumlara göre güncellenmekte ve periyodik olarak test edilmektedir. 3. İŞ SÜREKLİLİĞİ PLANININ TEMEL UNSURLARI Haberleşme Stratejisi, Kurtarma Stratejisi, Dağıtım Stratejisi, Planın Test Edilmesi, Planın Güncellenmesi, İş Sürekliliği ve Acil Durum Eğitimleri, Genel Güvenlik ve Lojistik, Tedarikçi Firmalar Kapsamında İş Sürekliliği, Alternatif Lokasyonlar ve İnsan Kaynakları, Plan Dâhilinde Sayfa No: 11

Kullanılacak Form Ve Belgeler, İş Sürekliliği Planının başlıca temel unsurlarını oluşturmakta olup, aşağıda ayrıntılarına yer verilmiştir. 3.1. Haberleşme Stratejisi Acil durumlar veya kriz anlarında; doğru, açık ve güvenilir bir bilgi akışının sağlanması, panik, kargaşa ortamının önlenmesi ve iş süreçleri üzerinde kontrolün temini açısından büyük öneme sahiptir. Etkin haberleşme, İş Sürekliliği Planının doğru işlemesi için temel teşkil eder. Bilgi taleplerine zamanında cevap verilmesi ve bilginin eksiksiz olarak aktarılması önemlidir. Bu kapsamda, acil ve beklenmedik bir durumda çalışanlar, Sekretarya, Müdahale Ekipleri, Komite, müşteriler, çalışanların yakınları ve kamuoyu etkin bir haberleşme çerçevesinde bilgilendirilmelidir. Acil ve beklenmedik durumlarda Şirket genelindeki haberleşmeden Sekretarya sorumludur. Temel haberleşme sistemlerinde meydana gelebilecek sorunlar Ziraat Teknoloji koordinasyonunda çözülür. Acil Durumlarda İletilecek Öncelikli Bilgiler Olayın Zamanı Meydana Geliş Şekli Plandaki İlgili Senaryo Görev ve Sorumluluk Paylaşımı Kurtarma Stratejileri Çalışanların ve Müşterilerin Durumu Hasar Tespiti Acil durumlarda alternatif iletişim kaynağı olarak GSM telefonlar kullanılacaktır. Ana telefon santralinin beklenmedik durumlarda hizmet veremeyeceği süre zarfında, GSM mobil hatlar kullanılacaktır. Genel Müdürlük iletişim bilgilerinin yanı sıra acil ve beklenmedik durumlarda kullanılacak GSM pbx bilgileri tüm müşteri ve muhatap kurumlara duyurulacaktır. Acil ve beklenmedik bir durumun ortaya çıkması halinde internet sitemizde yayınlanan telefon numaraları ve web adreslerinden Müşteri Hizmetleri Merkezi ne ulaşılabilir. Merkez dışı birimler alternatif iletişim kanalı olarak Genel Müdürlük telefon santralini kullanacaklardır. BIAŞ temsilcileri GSM hatları alternatif iletişim aracı olup, gerekli durumlarda müşteri temsilcileri tarafından kullanılacaktır. Sayfa No: 12

Personelin ikametgah adresi, sabit ve mobil iletişim bilgileri, tüm birim yöneticileri ve İş Sürekliliği ve Acil Durum Komitesi üyelerine dağıtılmış durumdadır. Genel Müdürlük ve Şube ve İrtibat Bürolarının alternatif iletişim bilgileri müşteri ve diğer kurumlara bildirilmiş olup internet şubede yayınlanır. Acil Durumda Kullanılabilecek Başlıca Haberleşme Metotları ve Araçları Şirketimiz Web Sitesi Telefon Faks e-posta Skype Video - Konferans Toplu SMS Genel Müdürlük lokasyonu kullanılmaz bir hale geldiği takdirde personel tarafından kullanılmak üzere yedek ofis ortamı olarak T.C. Ziraat Bankası Operasyon Merkezi/Maltepe Acil Durum Merkezi nde genel müdürlük personelinin çalışması için bilgisayarlar tahsis edilmiş olup kullanıma hazırdır. Yedek ofis ortamında personel sistemi çalışmalara başlayana kadar telefon iletişimi ve emir iletimi Şube telefonları ve/veya acil GSM hatları üzerinden sağlanacaktır. Merkez dışı birimler için Ziraat Yatırım Merkez Şube lokali yedek ofis olarak belirlenmiş olup, iletişim bilgileri internet şubede yayınlanmaktadır. Beklenmedik durumlarda, Genel Müdürlük geçici faaliyet adres bilgileri müşterilere ve diğer kurumlara bildirilmiş olup, internet şubede yayınlanmaktadır. Sayfa No: 13

3.2. Kurtarma Stratejisi Şirkette yürütülen her faaliyet ayrı bir öneme sahiptir. Ancak bazı faaliyetlerin kritik olmaları sebebiyle, söz konusu faaliyetlerden İş Sürekliliği Planında ayrıca bahsedilmiştir. Buradan hareketle Şirket, iş etki analizini temel alan, kurtarma öncelikleri ve hedeflerini ortaya koyan bir kurtarma stratejisi geliştirmiştir. Kurtarma stratejisi, Şirket in acil durumdan sonra kritik faaliyetlerinin eski haline dönmesi ve iş sürekliliğinin sağlanması için belirlediği ve yürüttüğü yöntem olarak tanımlanabilir. Bu yöntemler; Kesinti esnasında manuel operasyonlara başvurulması, Önemli verilerin yedeklenmesi, Kritik ve acil olarak yerine getirilmesi gereken faaliyetler için yedek sistemlerin devreye girmesi, Kritik ancak tolere edilebilir kesinti süresine sahip faaliyetler için mevcut sistemlerin onarımının beklenmesi olarak sayılabilir. Operasyonel bir kesintide, Şirket in önceliği kritik faaliyetlerinin sürekliliğinin sağlanması; hedefi ise en kısa zamanda, en az kayıp ile sistemlerin sürekliliğinin tekrar sağlanmasıdır. Genel anlamıyla iş etki analizinde, kritik olarak değerlendirilen müşteri alım-satım emirlerinin borsa iletilmesi, takas ve bu işlemlere ilişkin tahsilat ve tediye sistemi faaliyetleri, Şirket in kurtarma planında önceliğe sahiptir. 3.3. Dağıtım Stratejisi İş Sürekliliği Planı, personelin bilgi sahibi olmasını ve kolayca ulaşmasını sağlamak amacıyla Şirket Ortak Klasöründe ve basılı olarak Birim Yöneticilerinde yer alır. 3.4. Planın Test Edilmesi Planın işlerliğini, kesintilere karşı verilecek cevapların süresini, iş sürekliliğine ilişkin yapılanmayı görmek amacıyla Planı gözden geçirecek bir sistem oluşturulur. Bu kapsamda, İş Sürekliliği Planı, olası aksaklıklara karşı yılda en az bir kez Sekretarya tarafından yapılan organizasyon doğrultusunda test edilir. Test sonuçları Sekretarya tarafından Üst Yönetime raporlanır. Sayfa No: 14

3.5. Planın Güncellenmesi İş Sürekliliği Planı, asgari olarak acil durum testleri sonrasında, Sekretarya koordinasyonunda tüm ilgili birimlerin katılımıyla gözden geçirilir ve gerekli görülmesi durumunda güncellenir. Ayrıca, Şirketin iş süreçlerini veya sistemlerini etkileyecek değişikliklerden sonra da Plan gözden geçirilir ve güncellenir. İlgili Birimler tarafından revize edilmiş olan İş Sürekliliği Planı, Denetim Komitesi tarafından değerlendirilmesini takiben Yönetim Kurulunun onayına sunulur. 3.6. İş Sürekliliği ve Acil Durum Eğitimleri İş Sürekliliği Planının kurum kültürünün bir parçası haline getirilmesi, Plan kapsamında yapılması gerekenlerin kavranması, ilgili Müdahale Ekibi ve tüm Şirket personelinin görev ve sorumlulukları hakkında bilgilendirilmesi amacıyla eğitim programları düzenlenir. Sekretarya sorumluluğunda, personelin iş sürekliliği ve acil durum eğitimine katılımı sağlanır ve takibi yapılır. 3.7. Genel Güvenlik ve Lojistik İş Sürekliliğine yönelik faaliyetler yürütülürken göz önünde bulundurulması gereken en öncelikli konu, Şirket personelinin ve müşterilerin güvenliğinin sağlanması hususudur. Bu amaçla, Şirket hizmet binalarına yönelik olarak, faaliyetlerin durmasına, duraksamasına veya aksamasına neden olacak seviyede olağan dışı tedbirler alınmasını gerektiren muhtemel tehditler ve riskler ve bu risk veya tehditlerin gerçekleşmesi ve personelin güvenlik bilincinde eksiklik olması halinde, alınacak tedbirlerin uygulanmasında güçlük yaşanacağından hareketle, Sekretarya tarafından gerekli çalışmalar yürütülmekte, tespit edilen riskleri azaltmak amacıyla Şirket tarafından gerekli tedbirlerin alınması sağlanmaktadır. 3.8. Tedarikçi Firmalar Kapsamında İş Sürekliliği Şirketin çözüm ortağı tedarikçi firmaların durumlarının sürekli gözden geçirilmesi, acil/beklenmedik durum vuku bulduğunda Şirketin hizmetlerini ve talimatlarını aksatmayacak firmaların tercih edilmesi, bu hususta yetkili olan Birimin sorumluluğundadır. Sayfa No: 15

3.9. Plan Dâhilinde Kullanılacak Form ve Belgeler 3.9.1. Kesinti ve Hasar Tespit Raporları Bilgi Sistemlerinde meydana gelen kesintilerin etkilerini özetleyen Bilgi Sistemleri Kesinti ve Hasar Tespit Raporları, olaya maruz kalan, senaryo dâhilinde olaya müdahil olan ve olayı çözüme kavuşturan Birimler/Ziraat Teknoloji tarafından düzenlenerek, Sekretarya ya iletilir. Acil durumda yapılanları ve acil durumun etkilerini özetleyen Fiziki Güvenlik Acil Durum ve Hasar Tespit Raporu, acil durumdan etkilenen Birimler tarafından düzenlenerek, Sekretarya ya iletilir. Toplumsal olaylarda Şirketimizin hedef alınacağı istihbaratı alınması, merkezi veya yerel mülki idareler tarafından alınan kararlar (sokağa çıkma yasağı vb.) bulunması vb. durumlarda, acil durum hareket inisiyatifinin sağlanabilmesi amacıyla ivedilikle Sekretarya ile iletişime geçilerek, duruma ilişkin bilgi verilecek ve alınacak talimata göre (Birimlerin geçici olarak kapatılması vb.) hareket edilecektir. Sorunun nedenine, alınan önlemlere ve aksiyonlara ilişkin Faaliyet Kesinti Raporu düzenlenerek, Sekretarya ya iletilir. 3.9.2. Acil Durum İşlem Talep Formu Faaliyetlerinde kesinti yaşanan Birim tarafından, müşteri işlemlerinin gerçekleştirilmesi amacıyla Acil Durum İşlem Talep Formu düzenlenerek, senaryolar dâhilinde, işlemi gerçekleştirmek üzere ilgili Birime iletilir. 4. BİLGİ SİSTEMLERİ SÜREKLİLİĞİ PLANI Faaliyetlerin sürdürülmesini sağlayan bilgi sistemleri servislerinin, bir kesinti durumunda sürekliliğinin sağlanmasına yönelik hazırlanan ve İş Sürekliliği Planı nın bir parçası olan plandır. 4.1. Kritik Faaliyetlerin Belirlenmesi ve İş Etki Analizi Bilgi Sistemleri Süreklilik Planı, Genel Müdürlük Birimleri tarafından belirlenen kritik faaliyetlerin önceliklendirilmesi esasına dayanmaktadır. Söz konusu faaliyetlerin tamamı Şirketin öncelikli operasyonlarının belirlenebilmesi amacıyla İş Etki Analizi (Ek 1) kapsamında derecelendirilmiştir. Sayfa No: 16

İş Etki Analizi kapsamında, faaliyetlerde meydana gelebilecek kesintilerin oluşturabileceği muhtemel riskler ve bunların potansiyel etkileri değerlendirilmiştir. Karşılaşılabilecek bir kesinti durumunda gereken faaliyet düzeyini ortaya koymak amacıyla, operasyonlar önem düzeyleri bazında sınıflandırılmıştır. Faaliyetlerin önem düzeylerine göre sıralanmasında Risk puanlama yöntemi hesaplanırken, İş etki analizindeki işlerin normalize edilmiş puanı ile risk gerçekleşme maliyetinin normalize edilmiş puanı dikkate alınmıştır. Bilgi Sistemleri Süreklilik Planı nda yer alan kesinti senaryoları, İş Etki Analizi sonuçları doğrultusunda tespit edilmiş olup; senaryoların gerçekleşmesi durumunda etkilenecek kritik faaliyetler senaryolar bazında ele alınmıştır. 4.2. Bilgi Sistemleri Sürekliliği Senaryoları Bilgi Sistemleri Sürekliliği senaryoları, İş Etki Analizi sonuçları doğrultusunda, ilgili Genel Müdürlük birimleri tarafından oluşturulmuştur. Faaliyetlerde bir kesinti yaşanması durumunda Genel Müdürlük Birimleri, Şubeler, İrtibat Büroları bilgi sistemleri sürekliliği senaryoları (Ek 2) kapsamında hareket etmeleri gerekmektedir. Senaryolar oluşturulurken, kesintilerin muhtemel etkileri olay öncesinde, olay esnasında ve olay sonrasında olmak üzere üç aşamada değerlendirilmiştir. 5. ACİL ve BEKLENMEDİK DURUM PLANI Faaliyetlerde ani ve planlanmamış bir kesintiye, iş kaybına veya krize neden olması muhtemel bir durumda risklerin ve sorunların yönetilebilmesi amacıyla alınacak tedbirlerin ve gerçekleştirilecek öncelikli eylemlerin belirlenmesine yönelik hazırlanır, iş sürekliliği planının bir parçasını oluşturur. 5.1. Kritik Acil Durumların Belirlenmesi İş Sürekliliği Planının başarılı olabilmesi için tüm potansiyel tehlikelerin düşünülmüş olması gerekir. Şirketi etkileyebileceği düşünülen olaylar, Şirketin bulunduğu yere, faaliyetlerine, büyüklüğüne, sektördeki konumuna, olanaklarına bağlı olarak tespit edilmelidir. Acil ve Beklenmedik Durum Planı kapsamında kritik acil durumlar belirlenir. Kritik acil durumlar belirlenirken T.C. Başbakanlık Afet ve Acil Durum Yönetimi Başkanlığı tarafından yayınlanan istatistikler de dikkate alınmıştır. Türkiye nüfusunun %23 ünün doğrudan bir afete Sayfa No: 17

maruz kaldığı belirtilmekte ve maruz kalınan afet türleri oransal olarak aşağıda gösterilmektedir. Sel 11% Yangın 7% Heyelan 4% Çığ 4% Diğer 4% Deprem 70% Kritik acil durumlar kapsamında, söz konusu doğal afetlerin haricinde aşağıda belirtilen hususlar sayılabilir. Diğer Kritik Acil Durumlar Toplumsal Olaylar Terör Soygun Bombalı Saldırı Biyolojik ve Kimyasal Saldırılar Bulaşıcı ve Salgın Hastalıklar 5.2. Acil ve Beklenmedik Durum Senaryoları Faaliyetlerde meydana gelebilecek kesintilerin oluşturabileceği muhtemel riskler ve risklerin potansiyel etkilerini değerlendirmek amacıyla Acil ve Beklenmedik Durum Senaryoları (Ek 3) oluşturulmuştur. Senaryolar oluşturulurken kritik acil durumların muhtemel etkileri olay öncesinde, olay esnasında ve olay sonrasında olmak üzere üç aşamada değerlendirilmiştir. Faaliyetlerde kesinti olması halinde Genel Müdürlük Birimleri, Şube ve İrtibat Büroları Acil ve Beklenmedik Durum Senaryolarına uygun olarak hareket etmeleri gerekmektedir. Personelin ve müşterilerin can güvenliği ön plandadır. Acil bir durumda, ilgili Birimin Müdahale Ekibi ivedilikle acil durum konusunu belirler. Acil durumun konusunun hangi senaryo ya da senaryolara girdiğinin belirlenmesi ile birlikte ilgili senaryolar uygulanmaya başlanır. Sayfa No: 18

Toplumsal olaylarda Şirketimizin hedef alınacağı istihbaratı alınması, merkezi veya yerel mülki idareler tarafından alınan kararlar (sokağa çıkma yasağı vb.) bulunması vb. durumlarda, acil durum hareket inisiyatifinin sağlanabilmesi amacıyla ivedilikle Sekretarya ile iletişime geçilerek, duruma ilişkin bilgi verilecek ve alınacak talimata göre (Birim, Şube, İrtibat Büro nun geçici olarak kapatılması vb.) hareket edilecektir. Sorunun nedenine, alınan önlemlere ve aksiyonlara ilişkin Faaliyet Kesinti Raporu düzenlenerek, Sekretarya ya iletilir. Birimlerde acil ve beklenmedik durum senaryosu uygulanmaya başlanmasıyla, Sekretarya ile iletişim sağlanır ve acil durumun etki alanı, şiddeti vb. hakkında bilgi verilir. Acil durum kapsamında söz konusu Birimin yetkisini aşan bir işlem söz konusu olur ise Sekretaryaya öneri götürülerek gerekli yetkinin alınması için girişimde bulunulur. Ayrıca, acil durumun devam ettiği süre içerisinde yerel kaynaklardan acil duruma ilişkin gelen bilgilerin toplanması ve Sekretaryaya iletilmesi sağlanır. Acil durumlarda çalışanlara, önemli evrak ve malzemelere sistemli bir şekilde ulaşılması ve zaman kaybının önüne geçilerek olası can kaybının da önlenmesi amacıyla; İnsan Kaynakları ve Destek Hizmetleri Birimi tarafından, Şirket malı ve kiralık hizmet binalarının ölçekli kat krokileri çizilerek bu krokiler üzerinde çalışanların yerleşiminin, önemli evrakın, bilgisayarların bulunduğu odaların, su ve doğalgaz vanalarının, elektrik panolarının, çalışanların olağanüstü hallerde kullanacakları çıkış yolları veya korunma mekânlarının ve buralara ulaşılacak yollar ile merdiven ve asansörlerin işaretlenmesi ve bu krokilerin tüm Şirket Sekreteryası tarafından uygun bir yerde saklanması sağlanır. 5.3. Acil Durum Karşı Tarafa Etkileri ve Faaliyetlerin Sonlandırılması Müşterilerimizin varlıkları, saklama kuruluşunda saklanmaktadır. Bu sebeple acil ve beklenmedik durumlarda zarar görmesine ilşkin bir risk bulunmadığı düşünülmüştür. Acil ve Beklenmedik durumlarda müşteriler ile iletişimin sonlanması veya talimatlarının yerine getirilememesi gibi hizmet kesintileri yaşanabilecektir. İş sürekliliği planımızda, acil durumlarda faaliyetlerimizin en az kesinti ve zararla devamı planlanmaktadır. Operasyonel hizmetlerden, çalışanların korunmasına kadar tüm değerler üstün ve uygun faaliyetle karşılanacaktır. Tüm bu önlemlerin temel amacı faaliyetlerin devamlılığıdır. Ancak herşeye rağmen Şirketimiz Yönetim Kurulu acil ve beklenmedik olaylardan dolayı, faaliyetlerinde durdurma kararı alması durumunda, müşterilerimize gerekli bilgilendirme tüm iletişim kanallarından iletilir ve talimatlı ile transfer işlemleri tamamlanır. Sayfa No: 19

5.4. Resmi ve Düzenleyici Kurumlara yapılacak bilgilendirme İŞ sürekliliğimizde yaşanacak kesintiler sonrası, plan kapsamında iş sürekliliğin devereye alınması durumunda, Borsa İstanbul, Takasbank, Sermaye Piyasası Kurulu, ve diğer otoritelere e-posta aracılığı ile, bu mümkün değilse telefonla ile gerekli bilgilendirme yapılacaktır. Kurumlar tarafından bildirimlerin Acil Durum Merkezimize yapılması beklenmektedir. EKLER Ek 1 Ek 2 Ek 3 Ek 4 : İş Etki Analizi : Bilgi Sistemleri Sürekliliği Senaryoları : Acil ve Beklenmedik Durum Senaryoları : Önemli Telefon Numaraları Sayfa No: 20